VPN-Client-Trafic a Firewall-Zoustand: baussenzegen an bannenzegen Floss

Den VPN-Handshake ass fäerdeg, de Client kritt eng Adress, an e Service hannert dem Gateway refuséiert nach ëmmer d’Verbindung. D’Firewall mécht dacks genee dat, wat hir gesot gouf. Si huet den baussenzegen Tunnel-Floss erlaabt, deen en anere Paket ass wéi déi decapsuléiert Applikatiounsverbindung. Dovu komme zwou Entscheedungen: wéi ee Floss Dir erlaabt, an ob d’Grenz iwwerhaapt den Zoustand suivéiert.

Bis Dir déi zwou trennt, ass all Regelännerung eng Vermutung.

D’Firewall gesäit zwee ënnerschiddlech Paketen

Virun der Decapsulatioun gesäit d’Firewall Trafic, deen un den VPN-Endpunkt adresséiert ass: e baussenzegen UDP-Floss zum Lauschterer. No der Decapsulatioun dréit e weidergeleet Paket déi bannenzeg Adress vum Client an d’Zil vum Service.

Eng Erlaabnes fir de baussenzegen Floss autoriséiert net déi weidergeleet TCP-Verbindung. Si kënnen a verschiddene Ketten, géint verschidden Interfacen an mat verschiddenen Adressen no der Iwwersetzung evaluéiert ginn.

Vergläicht Opnamen aus gläichwäertege Positioune vun zwou Säiten. Eng Opnam um Tunnelrand an eng Opnam um Server weisen ënnerschiddlech Tuplen fir déiselwecht Sessioun.

Éischt Entscheedung: den Tunnel oder de Service erlaaben

Wann de Client just den VPN-Endpunkt selwer brauch, kann d’baussenzeg Erlaabnes duergoen. Wann en e Service hannert dem Gateway brauch, braucht Dir eng Weiderleeungs-Erlaabnes fir dat Zil an dee Port. Eng Tunnelregel, déi och de Service erlaabt, ass eng Designentscheedung, déi Dir sollte nennen, keen Accident.

Halt de Client-Beräich an den Ëmfang vum Service enk. Eng Erlaabnes vum Tunnel-Subnetz an de ganze LAN ass eng Entscheedung, all Host ze vertrauen, keen Ofkierzung fir eng eenzeg Applikatioun.

Schreif déi zwou Regelen getrennt op. D’Tunnelregel an d’Serviceregel versoen op verschidde Weeër a ginn mat verschiddenen Beweiser debuggt. Wann eng versoeet, wësst Dir, wéi eng Schicht fir d’éischt ze kontrolléieren.

Zweet Entscheedung: mat oder ouni Zoustand op all Grenz

Eng Regel fir etabléierte Floss kann Äntwerten fir en erlaabten Austausch zouloossen, awer hiert Verhalen hänkt vum Produkt of. Eng Cloud-Sécherheetsgrupp suivéiert normalerweis den Zoustand; eng Subnetz-ACL suivéiert dacks keen Zoustand a brauch eng explizit Behandlung a béid Richtungen. Gitt net dovun aus, datt all Grenz um Wee den Zoustand gläich behandelt. Lëscht all Grenz op a markéiert se mat oder ouni Zoustand, ier Dir d’Regele entwéckelt.

Wann eng Regel ännert, kënnen existéierend suivéiert Flëss weiderfunktionéieren, wärend nei versoen, oder ëmgedréit. Dee Ënnerscheed ass en nëtzlechen Hiweis, keen Grond, de ganze Verbindungszoustand op engem aktive Gateway eidel ze maachen.

Test mat enger frëscher kontrolléierter Ufro an iwwerpréift déi relevant Zähler. En proppere Test ass besser wéi eng stéierend Réinitialisatioun. Notéiert den Numm vum Zähler an der Ännerungsnotiz, sou datt den nächsten Test déiselwecht Beweiser benotzt.

Verifizéiert de Retourwee ënner der selwechter Politik

Schéckt eng nei Ufro vum Client zum Service, a kontrolléiert duerno d’Hin- an d’Retourzähler op all Grenz. Bestätegt, datt d’Äntwert de Wee benotzt, deen Dir erwaart, besonnesch wann eng Iwwersetzung dobäi ass.

Halt de geplangte Client-Beräich an den Ëmfang vum Service enk, a verifizéiert de Retourwee ënner dem selwechte Regelsatz, deen d’Ufro erlaabt huet. Eng Regel, déi nëmme funktionéiert, well en ale Floss nach op ass, ass keng funktionéierend Regel.